IBM Woche 42 2026: Kritische Schwachstellen in WebSphere Liberty und Db2 Mirror for i stehen an der Spitze von 30 CVEs

Das Release im Überblick

Die Sicherheitsveröffentlichung von IBM für die Woche vom 12. Oktober bis 18. Oktober 2026 umfasst 30 CVEs und betrifft Db2, Db2 Mirror for i, Db2 Genius Hub, DB2 Recovery Expert, WebSphere Application Server und WebSphere Application Server - Liberty. Nach Schweregrad umfasst das Set 3 kritische, 11 hohe, 14 mittlere und 2 niedrige Schwachstellen. Keine der 30 CVEs ist im CISA-Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgeführt, und keine davon ist in den IBM-Sicherheitshinweisen als ausgenutzt gekennzeichnet. Die kritischen Schwachstellen befinden sich in Db2 Mirror for i und WebSphere Application Server - Liberty; Schwachstellen mit hohem Schweregrad betreffen außerdem Db2 und WebSphere Application Server. Auf WebSphere Application Server - Liberty entfallen 13 der CVEs, auf Db2 7, auf DB2 Recovery Expert 4, auf WebSphere Application Server 3, auf Db2 Genius Hub 2 und auf Db2 Mirror for i 1.

Was am meisten zählt

An der Spitze der Liste steht CVE-2026-96012 in Db2 Mirror for i 7.4, 7.5 und 7.6 mit einem CVSS-Wert von 9,9 (kritisch). Ein authentifizierter Angreifer kann eine bösartige Anfrage so gestalten, dass sie zusätzliche Autorisierungs- und Eingabeprüfungen umgeht, um Schadcode auszuführen und höhere Berechtigungen zu erlangen. Für diese Schwachstelle gibt es auf dieser Website eine eigene Schwachstellen-Warnung. In Db2 11.5.0 bis 11.5.9 und 12.1.0 bis 12.1.5 sind CVE-2026-105465 und CVE-2026-105464 zwei lokale Schwachstellen zur Rechteausweitung mit einem CVSS-Wert von 8,8 (hoch). CVE-2026-105465 setzt voraus, dass db2locssh zusammen mit der Db2-Instanz aktiviert ist, während CVE-2026-105464 es einem lokalen Angreifer mit DBADM-Berechtigung ermöglicht, höhere Berechtigungen zu erlangen. WebSphere Application Server - Liberty weist zwei kritische Probleme bei der Zugriffskontrolle auf. CVE-2026-93895 (CVSS 9,1) ermöglicht es einem nicht authentifizierten entfernten Angreifer, die für gRPC-Servicemethoden konfigurierten Zugriffskontrollen zu umgehen; betroffen ist Liberty 20.0.0.12 bis 26.0.0.10. CVE-2026-93909 (CVSS 9,1) ist eine Umgehung der Authentifizierung, wenn die Funktion samlWeb-2.0 aktiviert ist; betroffen ist Liberty 17.0.0.3 bis 26.0.0.10. Auch in Liberty 17.0.0.3 bis 26.0.0.10 ermöglicht es CVE-2026-93905 (CVSS 8,2) einem nicht authentifizierten entfernten Angreifer, den dauerhaft gespeicherten Status von Batch-Job-Instanzen zu beschädigen. CVE-2026-101294 (CVSS 8,7) ist eine Schwachstelle durch eine fehlende Überprüfung kryptografischer Signaturen; betroffen sind Liberty 17.0.0.3 bis 26.0.0.10 sowie WebSphere Application Server 8.5 und 9.0. WebSphere Application Server 8.5 und 9.0 weist außerdem CVE-2026-93907 (CVSS 8,1) auf, eine entfernte Umgehung der Authentifizierung über den CSIv2-Inbound-Propagation-Handler.

In dieser Reihenfolge patchen

1. Spielen Sie zuerst Sicherheitsupdates für WebSphere Application Server - Liberty ein, insbesondere für aus dem Internet erreichbare Bereitstellungen. CVE-2026-93895 und CVE-2026-93909 sind kritisch und ohne vorherige Authentifizierung über das Netzwerk erreichbar; wenn Sie gRPC oder samlWeb-2.0 verwenden, behandeln Sie diese zuerst. CVE-2026-93905 erfordert ebenfalls keine Authentifizierung und ist mit hohem Schweregrad bewertet. IBM stellt Korrekturen bereit; die Sicherheitshinweise nennen die relevanten Fixpacks.
2. Spielen Sie in Db2 Mirror for i 7.4, 7.5 und 7.6 Sicherheitsupdates für die kritische Schwachstelle zur Rechteausweitung CVE-2026-96012 ein. Priorisieren Sie Systeme, auf denen viele authentifizierte Benutzer vorhanden sein können oder auf denen die Datenbankschicht Anwendungen ausgesetzt ist, denen nicht vollständig vertraut werden kann.
3. Spielen Sie in WebSphere Application Server 8.5 und 9.0 Sicherheitsupdates für CVE-2026-93907 und CVE-2026-101294 ein.
4. Spielen Sie in Db2 11.5 und 12.1 Sicherheitsupdates für CVE-2026-105465 und CVE-2026-105464 ein. Da es sich um lokale Rechteausweitungen handelt, behandeln Sie Hosts mit gemeinsam genutzten Anmeldungen oder umfassendem lokalem Zugriff mit höherer Priorität.
5. Planen Sie die verbleibenden hohen und mittleren CVEs im regulären Änderungsfenster ein und priorisieren Sie dabei Komponenten von Db2 Genius Hub, DB2 Recovery Expert oder WebSphere in Ihrer Umgebung, die von außen erreichbar sind.

Über den Patch hinaus

Eine Woche mit 30 CVEs über sechs IBM-Produkte hinweg ist leichter beherrschbar, wenn Sie vor dem Einspielen der Sicherheitsupdates sehen können, welche Systeme tatsächlich erreichbar sind und welche privilegierten Aktionen gerade versucht werden. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, exponierte Dienste von WebSphere, Db2 und Db2 Mirror for i zu erfassen, und mit Managed Detection and Response (MDR) überwachen wir mögliche Rechteausweitungen und den Missbrauch von Zugriffskontrollen, wenn sich ein Sicherheitsupdate verzögert.